Informática forense · Particulares
Como posso verificar quando é que uma fotografia foi realmente tirada?
Das Datum, das eine Galerie-App anzeigt, ist nicht zwangsläufig der Aufnahmezeitpunkt. Es kann aus den EXIF-Daten stammen, aus der Dateisystemzeit, aus dem Zeitpunkt des Imports oder des Empfangs über einen Messenger. Für einen belastbaren Zeitpunkt müssen mehrere unabhängige Quellen übereinstimmen.
Por que razão esta questão é importante para os particulares
As conversas, fotografias, vídeos e capturas de ecrã podem assumir um peso considerável em litígios de natureza privada, civil ou penal. No entanto, a sua apresentação visível não responde automaticamente a questões relativas à origem, alteração, data ou autoria.
Technischer Hintergrund
EXIF-Felder wie DateTimeOriginal, OffsetTimeOriginal und GPS-Zeit werden von der Kamera geschrieben – nach der jeweiligen Geräteuhr. Messenger entfernen Metadaten häufig beim Versand. Cloud-Dienste ergänzen eigene Upload-Zeitpunkte. Bearbeitungsprogramme können Felder überschreiben.
Relevante Spuren und Datenquellen
- EXIF/XMP: DateTimeOriginal, Zeitzonen-Offset, GPS-Zeitstempel, Kameramodell, Seriennummer
- Dateisystemzeiten auf Gerät oder Speicherkarte
- Fotodatenbank des Smartphones (z. B. Photos.sqlite auf iOS)
- Upload- und Empfangszeitpunkte in Cloud oder Messenger
- Bildinhalt-Plausibilität (z. B. Schatten, Wetter, sichtbare Uhrzeit)
Grenzen
- Liegt nur eine weitergeleitete Kopie ohne Metadaten vor, ist der Zeitpunkt oft nicht bestimmbar.
- EXIF-Daten lassen sich verändern; einzelne Zeitstempel beweisen nichts allein.
Mögliche Ergebnisse
- Aufnahmezeitpunkt durch mehrere Quellen gestützt
- Zeitpunkt nur eingrenzbar (frühester/spätester Zeitpunkt)
- Hinweise auf nachträgliche Änderung von Zeitstempeln
Porquê o LanCologne?
Digitale Beweismittel wirken für Laien häufig eindeutiger, als sie technisch sind. Ein Screenshot kann echt aussehen und trotzdem bearbeitet sein.
So gehen wir vor
- Original-Datei oder besser das Aufnahmegerät sichern.
- Alle vorhandenen Zeitquellen auslesen und Zeitzonen bzw. Geräteuhr berücksichtigen.
- Widersprüche erklären oder als offen kennzeichnen.
A autenticidade não é o mesmo que a autoria
Uma mensagem pode estar tecnicamente armazenada de forma autêntica numa conta ou num dispositivo, sem que daí se possa deduzir com certeza qual a pessoa singular que a redigiu. Esta separação impede que uma conclusão técnica correta seja confundida com uma alegação não comprovada relativa a uma pessoa.
Os dados originais são mais importantes do que a mera representação no ecrã
Uma captura de ecrã pode ser útil, especialmente quando os conteúdos desaparecem posteriormente. No entanto, para uma análise mais aprofundada, tentamos obter também ficheiros originais, dados de aplicações, bases de dados ou outras fontes primárias. Estes contêm frequentemente contexto que não está presente na representação visível.
Por que razão se recorre ao princípio LanCologne na análise de provas digitais?
A LanCologne não considera os conteúdos digitais como verdadeiros ou falsos apenas porque parecem plausíveis. Analisamos as provas técnicas disponíveis, documentamos a origem e os limites das conclusões e apresentamos a dedução de forma a que seja compreensível para o cliente particular e, ao mesmo tempo, compreensível para o advogado, a autoridade de investigação, o tribunal ou outro perito forense informático qualificado.
Quadro jurídico
No caso de dados digitais de prova que tenham sido manipulados, o artigo 269.º do Código Penal alemão (StGB) pode ser aplicável, dependendo das circunstâncias concretas do caso. Esta disposição diz respeito, nas condições previstas, ao armazenamento ou à alteração de dados relevantes para a prova com intenção fraudulenta, ou à utilização de dados assim armazenados ou alterados. A questão de saber se um ficheiro ou mensagem concreto preenche todos os elementos constitutivos do crime é uma questão jurídica; a simples constatação técnica de manipulação, por si só, não responde a esta questão.
No que diz respeito aos processos no tribunal civil, é aplicável o artigo 371.º do Código de Processo Civil (ZPO). Nos termos desse artigo, a prova por inspeção ocular pode ser apresentada também através da apresentação ou envio de documentos eletrónicos. O artigo 371.º-A do Código de Processo Civil (ZPO) contém disposições específicas relativas ao valor probatório dos documentos eletrónicos, nomeadamente no que diz respeito às assinaturas eletrónicas qualificadas e a determinados documentos eletrónicos públicos. Por conseguinte, nem todas as mensagens de chat ou ficheiros de imagem comuns possuem automaticamente o valor probatório especial aí previsto.
No que diz respeito à prova pericial, aplicam-se os artigos 402.º e seguintes do Código de Processo Civil (ZPO). Um relatório pericial forense de TI encomendado a título privado não constitui, por si só, um relatório pericial judicial apenas com base na sua qualidade técnica. No entanto, a sua metodologia compreensível e a base probatória obtida podem ser importantes para os advogados e para uma posterior análise técnica.
Os valores de hash são um importante instrumento de integridade, mas não constituem uma garantia de autenticidade do conteúdo original. Um hash atesta que um determinado conjunto de dados permaneceu inalterado desde a sua geração ou que coincide, bit a bit, com um conjunto de referência. Não indica automaticamente se o conteúdo foi manipulado antes do registo.
LanCologne avalia os dados técnicos e o seu valor probatório. A apreciação jurídica das provas, a qualificação penal e a decisão sobre a importância a atribuir a cada prova no processo cabem aos advogados, às autoridades de investigação e aos tribunais.
Perguntas frequentes
Como posso verificar quando é que uma fotografia foi realmente tirada?
Kann man EXIF-Daten fälschen?
Reicht die Datei, die ich per WhatsApp bekommen habe?
Spielt die Zeitzone eine Rolle?
LanCologne – Informática forense para particulares
Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.